todatetime函数转换同格式时间字符串时返回空值异常问题咨询

根因分析 #

该现象通常由以下两个原因导致：

1. 字符串存在不可见隐藏字符
   从customDimensions动态字段中提取的CommandTimeStamp字符串包含肉眼无法识别的非打印字符，比如首尾空格、零宽空格、换行符、制表符等。Kusto的字符串等值判断==会忽略部分非打印字符，且查询结果界面不会渲染这类字符，因此会出现“两个字符串显示完全相等”的错觉。你可以通过对比strlen(CommandTimeStamp)和strlen(constantValue)的返回值验证该问题，若长度不一致即可确认存在隐藏字符。
2. 常量与动态值的日期解析规则差异
   Kusto对常量字符串和运行时动态值的todatetime解析逻辑不同：常量字符串会在查询编译阶段结合集群默认区域设置完成转换，你使用的美式月/日/年格式在该阶段可被正常识别；而运行时从每行数据读取的动态字符串，todatetime默认仅优先匹配ISO 8601标准格式，你使用的MM/dd/yyyy hh:mm:ss tt +00:00不属于ISO标准格式，因此转换失败返回空值。

修复方案 #

• 第一步先清理字符串中的无效字符：使用正则替换去除所有非打印字符和首尾多余空白：

  | extend CommandTimeStamp = replace_regex(tostring(customDimensions['CommandTimeStamp']), @"^\s+|\s+$|[\p{C}]", "")
  

• 第二步显式指定格式进行日期解析：不要使用默认规则的todatetime，改用parse_datetime函数明确指定匹配格式：

  | extend timeColum2 = parse_datetime(CommandTimeStamp, "MM/dd/yyyy h:mm:ss tt zzz")
  

内容的提问来源于stack exchange，提问作者user13307036